Entrano in vigore gli obblighi del Regolamento UE 2024/1689 (AI Act) per i sistemi ad alto rischio il 2 agosto 2026. Mancano 86 giorni. La Commissione Europea non ha rispettato la deadline del 2 febbraio 2026 per le linee guida operative sui sistemi di Allegato III. L’Italia ha la Legge 23 settembre 2025, n. 132 di recepimento, ma il coordinamento tra AGID, AGCOM e Garante Privacy è ancora in via di definizione. Le sanzioni arrivano fino a 35 milioni di euro o 7% del fatturato globale. Per un CIO italiano, il quadro operativo dei prossimi tre mesi è denso e in parte ancora opaco.
Cosa cambia il 2 agosto 2026
L’AI Act è in vigore dal 1 agosto 2024 con applicazione graduale. Le scadenze già passate riguardano i divieti su pratiche inaccettabili (febbraio 2025) e gli obblighi sui modelli GPAI (agosto 2025). Il 2 agosto 2026 segna l’attivazione degli obblighi più estesi: quelli sui sistemi AI ad alto rischio elencati nell’Allegato III.
L’Allegato III copre otto aree: identificazione biometrica, infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione del personale, servizi essenziali pubblici e privati (incluso il credito), forze dell’ordine, immigrazione e controllo frontiere, amministrazione della giustizia. La definizione si applica trasversalmente. Una banca italiana che usa un modello AI per il credit scoring rientra nell’Allegato III. Così come un’azienda manifatturiera che usa AI per la selezione del personale, o un’impresa sanitaria che usa AI per il triage.
Per ogni sistema ad alto rischio le imprese devono disporre di sistema di gestione del rischio formalizzato, dataset di training documentato e di qualità adeguata, registrazione automatica dei log, documentazione tecnica completa, trasparenza verso l’utente finale, supervisione umana effettiva, accuratezza e robustezza testate. Pacchetto di obblighi che richiede mesi di lavoro, non settimane.
Il ritardo della Commissione
Le linee guida sull’Allegato III dovevano arrivare il 2 febbraio 2026. Sono in ritardo.
A maggio 2026 le imprese si trovano nella condizione di dover rispettare obblighi la cui interpretazione operativa non è ancora consolidata. La Commissione ha pubblicato bozze di lavoro e ha aperto consultazioni, ma il testo definitivo manca. In parallelo è in trilogo il cosiddetto Digital Omnibus AI, proposta della Commissione di aprile 2026 che punta a posticipare gli obblighi sui sistemi alto rischio standalone al 2 dicembre 2027 e su quelli embedded nei prodotti al 2 agosto 2028. La proposta non è ancora approvata. Le associazioni industriali europee la sostengono, alcune ONG e Stati membri la contestano. Il punto operativo per un’impresa italiana è semplice: la pianificazione deve assumere il 2 agosto 2026 come data effettiva, perché un eventuale rinvio non è certo né tempestivo.
AIPIA mantiene aggiornata trimestralmente la guida operativa all’AI Act che traccia gli atti delegati, le linee guida pubblicate e le interpretazioni delle autorità nazionali.
Il quadro italiano: Legge 132/2025 e autorità competenti
La Legge 23 settembre 2025, n. 132 ha recepito formalmente l’AI Act in Italia. Il testo conferma il modello distribuito di vigilanza: AGID assume il ruolo di autorità nazionale competente per il coordinamento, AGCOM mantiene competenze sui sistemi di intelligenza artificiale generativa applicati a contenuti audiovisivi e digitali, Garante Privacy resta l’autorità sui trattamenti di dati personali, Banca d’Italia e Consob mantengono giurisdizione su sistemi finanziari, Ministero della Salute su dispositivi medici e sanitari.
Il coordinamento operativo tra queste autorità è ancora in fase di consolidamento. Per un’impresa italiana questo significa, a oggi, che un sistema AI complesso può ricadere sotto la vigilanza di più autorità contemporaneamente, con rischio di interpretazioni divergenti. La Cabina di regia interministeriale prevista dalla Legge 132/2025 ha tenuto la prima riunione operativa a febbraio 2026, ma il manuale operativo unificato non è ancora pubblico.
L’altra novità rilevante della Legge 132/2025 è l’introduzione di sanzioni penali per usi illeciti dell’AI. In particolare per deepfake non consensuali, manipolazione di mercato tramite contenuti AI generati, usi in violazione della dignità della persona. Fattispecie aggiuntive rispetto alle sanzioni amministrative dell’AI Act.
Sistemi ad alto rischio: come fare l’inventario in 30 giorni
Tre passi, in sequenza.
Il primo è l’inventario dei sistemi AI già in uso o in fase di adozione che ricadono nell’Allegato III. La maggior parte delle imprese italiane non ha ancora questa mappatura. Il consiglio operativo è triplice: censire tutti i fornitori SaaS che utilizzano AI nei moduli adottati (HR, CRM, ERP, antifrode), censire tutti gli sviluppi interni che includono modelli predittivi, censire l’uso ombra di strumenti AI consumer da parte dei dipendenti.
Il secondo è la classificazione del rischio. Non tutti gli usi AI cadono in alto rischio. Un chatbot che risponde a domande sui prodotti non è alto rischio. Un sistema che decide se assumere un candidato sì. Un sistema che traduce documenti non è alto rischio. Un sistema che valuta il rischio di credito sì. La distinzione è precisa nell’Allegato III ma richiede analisi caso per caso.
Il terzo è la valutazione di conformità. Per i sistemi alto rischio sviluppati internamente, l’impresa è il provider e deve rispondere di tutti gli obblighi. Per i sistemi di terze parti, l’impresa è il deployer e ha obblighi più ridotti ma non nulli (uso conforme, sorveglianza umana, conservazione log per minimo sei mesi). La distinzione provider-deployer è il primo discrimine operativo.
Le sanzioni e il rischio reputazionale
Tre fasce, su scala globale.
Fino a 35 milioni di euro o 7% del fatturato globale per violazioni dei divieti su pratiche inaccettabili. Fino a 15 milioni o 3% per violazioni degli obblighi su sistemi alto rischio e GPAI. Fino a 7,5 milioni o 1,5% per fornitura di informazioni inesatte alle autorità. Le sanzioni si applicano sul fatturato consolidato del gruppo, non della singola legal entity. Per un’impresa italiana parte di un gruppo internazionale il calcolo va fatto sul perimetro globale.
Il modello richiama quello del GDPR e segna un cambio di scala rispetto alle sanzioni storicamente comminate dalle autorità italiane su materie tecnologiche. Oltre alle sanzioni economiche, le imprese devono considerare il rischio reputazionale e quello contrattuale: le grandi imprese clienti stanno già inserendo nei contratti clausole di compliance AI Act e diritto di audit. Una violazione documentata può comportare la rescissione del contratto e l’iscrizione in liste di fornitori non conformi.
La checklist operativa per i prossimi 90 giorni
Per un CIO italiano i prossimi tre mesi richiedono un piano scandito. Maggio: inventario completo dei sistemi AI in uso, classificazione preliminare alto rischio versus altro, identificazione dei gap di documentazione. Giugno: nomina del responsabile interno per la conformità AI (o estensione del ruolo del DPO), avvio della raccolta della documentazione tecnica per i sistemi alto rischio, predisposizione del modello di registrazione log. Luglio: completamento del sistema di gestione del rischio, formazione del personale che opera i sistemi alto rischio, predisposizione delle procedure di sorveglianza umana, comunicazione interna e ai clienti delle pratiche adottate.
Il ruolo della formazione è il punto spesso sottovalutato.
L’AI Act richiede che il personale che opera sistemi AI abbia un’adeguata alfabetizzazione AI (AI literacy). L’obbligo è in vigore dal 2 febbraio 2025 e applicabile a tutti, non solo ai sistemi alto rischio. Per le imprese italiane è un punto da affrontare con percorsi strutturati. AIPIA propone una membership professionale che include accesso a percorsi formativi specifici per la conformità AI Act, oltre alla credenziale europea AI riconosciuta a livello UE.
Il quadro dei prossimi 18 mesi
Anche se gli obblighi alto rischio dovessero essere rinviati dal Digital Omnibus AI, le imprese italiane si trovano comunque davanti a una traiettoria ineludibile. La Norma UNI 11621-8:2026 sui 12 profili professionali AI è già pubblicata. La sandbox normativa italiana è in costruzione. Le linee guida AGID stanno arrivando. Gli atti delegati della Commissione su prodotti, dati di training e accessibilità sono attesi tra giugno e dicembre 2026. Il 2 agosto 2027 entreranno in vigore gli obblighi sui sistemi alto rischio embedded nei prodotti regolamentati (macchinari, dispositivi medici, automotive). La compliance non è un evento, è un processo che si estende ai prossimi due anni almeno.
Le imprese che hanno trattato il GDPR come adempimento formale nel 2018 hanno pagato il prezzo negli anni successivi. Quelle che lo hanno trattato come occasione di rinnovamento dei processi dati sono uscite più solide. L’AI Act ha la stessa natura. Trattarlo come un costo è la scelta più cara nel medio periodo. Trattarlo come un quadro per fare bene oggi quello che andrà fatto comunque domani è la scelta razionale.
I 90 giorni che mancano sono il momento per decidere quale delle due strade percorrere. Anche se nel frattempo Bruxelles ancora discute il calendario.
